ISPmanager 6 включает встроенный менеджер файрволла на основе iptables. Вы можете открывать/закрывать порты, блокировать IP и управлять правилами через графический интерфейс.

Управление файрволлом

Инструменты → Файрволл → включите файрволл переключателем. По умолчанию файрволл выключен на свежеустановленной панели, и это стоит изменить в первую очередь после установки.

Открыть порт

Файрволл → Добавить правило → Входящие.

Поле	Пример
Протокол	TCP
Порт	8080
Источник	Пусто = все / IP = только этот IP
Действие	Разрешить

Заблокировать IP-адрес

Файрволл → Добавить правило → Входящие → Источник: IP → Действие: Запретить.

⚠️ Перед включением файрволла убедитесь что порт 22 (SSH) и 1500 (ISPmanager) разрешены. Иначе потеряете доступ к серверу.

Порядок обработки правил

Iptables проверяет правила сверху вниз и останавливается на первом совпадении. Если выше стоит общее правило «разрешить всё с 0.0.0.0/0», более узкое правило блокировки ниже него никогда не сработает — порядок в списке решает исход, а не просто факт наличия правила в интерфейсе панели.

Fail2ban — защита от брутфорса

ISPmanager 6 включает Fail2ban. Настройка:

Инструменты → Fail2ban → включить → настроить пороги.

# Стандартные правила Fail2ban в ISPmanager:
# SSH: 5 попыток / 10 минут → бан на 24 часа
# FTP: 5 попыток / 10 минут → бан на 1 час
# HTTP Auth: 5 попыток / 10 минут → бан на 1 час

✅ Fail2ban автоматически блокирует IP после заданного числа неудачных попыток — включите его сразу после установки ISPmanager.

Просмотр заблокированных IP

# Через SSH
fail2ban-client status
fail2ban-client status sshd

# Разблокировать IP
fail2ban-client set sshd unbanip 1.2.3.4

Стандартные порты для открытия

Порт	Сервис
22	SSH
21	FTP
25, 587, 465	SMTP
80, 443	HTTP/HTTPS
110, 995	POP3/POP3S
143, 993	IMAP/IMAPS
1500	ISPmanager

Разбор типичных ошибок файрволла

Симптом	Что означает
После включения файрволла отвалился SSH	Правило для порта 22 не было добавлено до включения, либо стоит после блокирующего правила по всем портам
Сайт недоступен, хотя порт 80/443 «открыт» в ISPmanager	Открыт порт в файрволле панели, но заблокирован отдельным файрволлом провайдера/облака (Security Group) на уровне выше сервера
`fail2ban-client status sshd` возвращает пустой список банов, хотя атака идёт	Fail2ban не подключён к нужному лог-файлу — проверьте путь к логу SSH в конфигурации jail
IP разбанен командой, но через минуту забанен снова	Атака продолжается и снова набирает порог попыток — разбан не останавливает источник атаки

Файрволл панели и файрволл облачного провайдера: сравнение

Критерий	Файрволл ISPmanager (iptables)	Security Group облака/хостера
Уровень защиты	На самом сервере (Linux-ядро)	На уровне сети, до пакета к серверу
Защита при взломе панели	Не спасает — правила меняются изнутри	Спасает — управляется снаружи, отдельно от сервера
Гибкость правил	Высокая, до отдельных портов и IP	Обычно проще, крупными блоками
Нужно настраивать отдельно	Да, в ISPmanager	Да, в панели провайдера

Когда встроенного файрволла не хватает

Нужна защита от DDoS на сетевом уровне — iptables на самом сервере не остановит объёмную атаку, трафик нужно фильтровать до сервера (на уровне провайдера или через Cloudflare)
Требуется единая политика на десятки серверов — управлять правилами вручную в каждой отдельной панели неэффективно, нужен централизованный инструмент (например, Ansible или облачные Security Groups)
Нужна защита от атак на уровне приложения (SQL-инъекции, XSS в HTTP-запросах) — iptables работает на уровне пакетов и портов, а не разбирает содержимое HTTP-запроса, для этого нужен WAF
Нужен детальный аудит и алерты по сетевым событиям в реальном времени — стандартный интерфейс ISPmanager показывает список правил и текущие баны, но не строит историю атак и не шлёт уведомления при аномалиях

Проверка результата

После настройки правил убедитесь, что нужные порты действительно доступны снаружи, а не только «выглядят открытыми» в интерфейсе панели.

# С другого сервера или домашнего компьютера проверьте порт снаружи
nc -zv your_server_ip 80
nc -zv your_server_ip 22

# Локально на сервере проверьте активные правила iptables
sudo iptables -L -n --line-numbers

Если nc показывает «Connection refused» для порта, который вы вроде бы открыли — скорее всего сервис на этом порту не слушает вовсе, а не заблокирован файрволлом; это разные проблемы с разной диагностикой. Если же соединение просто зависает без ответа — это типичный признак блокировки пакетов на файрволле, а не отсутствия сервиса. Смотрите также двухфакторную аутентификацию в ISPmanager 6 и разбор логов и диагностику.